Internet der Dinge: Botnetz-Quellcode veröffentlicht

Standard-Passwörter könnten Funktionalität des Internets gefährden. [...]

Ein Hacker hat den Quellcode für den Schädling „Mirai“ veröffentlicht, der Geräte im Internet der Dinge für massive DDoS-Angriffe missbraucht. Er nutzte dazu unter anderem die Tatsache aus, dass viele IoT-Geräte nur mit Standard-Passwörtern versehen sind. Wenn die Hersteller solcher Geräte nicht in Sachen Sicherheit nachbessern, könnte solche IoT-Malware womöglich bald DDoS-Attacken durchführen, die das Web eklatant beeinträchtigen.

Massives Störpotenzial
Vor rund zwei Wochen war die Webseite des Security-Journalisten Brian Krebs Ziel eines DDoS-Angriffs, der bis zu 620 Gigabit pro Sekunde an Bandbreite beansprucht hat – die zu diesem Zeitpunkt wohl größte bekannte DDoS-Attacke der Geschichte. Dahinter stand mit Mirai ein Schädling, der nicht Zombie-PCs, sondern einfach Geräte im Internet der Dinge missbraucht. Am Wochenende hat Krebs nun gewarnt, dass der Quellcode eben dieser Malware von einem Hacker veröffentlicht wurde. Das könnte es anderen leicht machen, ähnliche Angriffe durchzuführen – mit potenziell verheerender Wirkung.

„Wir könnten bald DDoS-Angriffe erleben, die in der Lage sind, große Teile des Internets abzuschießen“, meint beispielsweise Stephen Gates, Chief Research Analyst beim Netzwersicherheitsanbieter NSFOCUS. Das Grundproblem: Geräte im IoT sind erschreckend leicht zu kapern, da oft nur Default-Nutzernamen und -Passwörter zum Einsatz kommen. Wenn ein einfacher Scanner mit nur 36 schwachen Anmeldedatensätzen den DDoS-Angriff auf Krebs ermöglicht habe, „dann hat das Internet ein gewaltiges IoT-Problem“, meint daher der Security-Blogger Hacker Fantastic auf Twitter.

Hersteller in der Pflicht
Mittlerweile ist der Hosting-Provider OVHzum Opfer einer DDoS-Attacke geworden, die Berichten zufolge Spitzen-Bandbreiten von rund einem Terabyte erreicht hat. Auch dafür waren per Malware missbrauchte IoT-Geräte verantwortlich, insgesamt über 180.000 Stück, darunter unter anderem auch vernetzte Sicherheitskameras. Für Experten scheint also klar, dass bei der Sicherheit des IoT nachgebessert werden muss, um nicht jene des Internets massiv zu gefährden.

„Die Lösung wäre einfach: Hersteller müssen entweder sicherstellen, dass jedes Gerät ein eigenes Default-Passwort hat, oder sie müssen Nutzer zwingen, dass Passwort nach der Erstinstallation zu ändern“, meint Gates. Letzteres dürfte keine echte Option sein, da sich User davon überfordert fühlen könnten oder einfach das stets beliebte Passwort „123456“ vergeben würden. Daher regt Gates an, jedem IoT-Gerät ab Werk einzigartige Default-Anmeldedaten zu geben, die direkt darauf eingeätzt werden. Dann müssten Angreifer zumindest physischen Zugriff auf jedes einzelne Gerät bekommen, um es zu missbrauchen – für ein 180.000-Geräte-Botnetz absolut unrealistisch.